一元的な保護と管理のために、サードパーティのクラウド サービス プロバイダー (Tencent Cloud、HUAWEI CLOUD、Amazon Web Services (AWS)、Microsoft Azureなど) からセキュリティセンターに資産を追加できます。このトピックでは、セキュリティセンターにサードパーティ資産を追加する方法について説明します。
接続方法
セキュリティセンターでは、サードパーティ資産を追加する方法を 2 つ提供しており、それぞれ異なるデータを収集します。収集するデータに基づいて方法を選択してください。
接続方法 |
説明 |
セキュリティセンターによって収集されたデータ |
この方法を使用すると、外部ホストタグが資産に追加され、セキュリティセンターは資産のサービス プロバイダーを識別できません。 |
IP アドレス、ホスト名、オペレーティング システム タイプ、CPU コア数 |
|
この方法により、セキュリティセンターは資産のサービス プロバイダーを識別し、[ホスト] ページに表示できます。 重要 この方法でサードパーティ資産を追加した後にセキュリティセンターの保護機能を使用するには、資産にセキュリティセンター エージェントをインストールする必要があります。 |
IP アドレス、ホスト名、オペレーティング システム タイプ、CPU コア数、サードパーティ クラウド VPC 情報、資産ステータス、リージョン、サービス プロバイダー |
サードパーティ アカウントの AccessKey ペアを使用してサードパーティ資産を追加する
セキュリティセンターは、サードパーティのクラウド サービス プロバイダー用に作成されたアカウントの AccessKey ペアを使用して、サードパーティ資産に対する読み取り権限を取得し、それらの情報を同期します。これにより、セキュリティセンターを介してクラウド資産を一元的に保護および管理できます。
Tencent Cloud、HUAWEI CLOUD、および Amazon Web Services (AWS) から資産を追加する
セキュリティセンターコンソール にログインします。コンソールの左上隅で、保護する資産が配置されているリージョン (中国 または 全世界 (中国を除く)) を選択します。
左側のナビゲーション ウィンドウで、 を選択します。
タブで、権限の新規付与 をクリックします。ドロップダウン リストで、追加するマルチクラウド サービス プロバイダー (Tencent Cloud、HUAWEI CLOUD、または AWS) を選択します。
Add Assets Outside Cloud パネルで、指示に従って対応するクラウド サービス プロバイダーのサブアカウントを作成し、サードパーティ クラウド サーバーとセキュリティセンター間の接続を確立します。
サードパーティのクラウド サービス プロバイダーのプラットフォームにログインし、サブアカウントの AccessKey ペアを作成します。
手動設定プラン または Quick Configuration を選択できます。
(推奨) 手動設定プラン: サードパーティのクラウド サービス プロバイダーのサブアカウントを手動で作成し、サブアカウントの AccessKey ペアをセキュリティセンターに付与します。
使用するセキュリティセンターの保護機能に基づいて、[権限の説明] で対応する機能を選択します。
[サーバー資産]: セキュリティセンターのサードパーティ アカウントで、Elastic Compute Service の読み取り権限を付与します。セキュリティセンターで、サードパーティ クラウド資産のリスク評価や脅威防御などのセキュリティ機能を提供する必要がある場合は、この設定項目を選択してください。
[クラウド セキュリティ ポスチャ管理]: セキュリティセンターのサードパーティ アカウントで、すべてのクラウド資産の読み取り権限を付与します。クラウド セキュリティ ポスチャ管理機能を使用してサードパーティ クラウド資産をスキャンする必要がある場合は、この設定項目を選択してください。
[脅威分析と対応]: Security Center サードパーティアカウントにすべてのクラウド資産に対する読み取り権限と、一部のクラウド資産に対する書き込み権限を付与します。脅威分析および対応機能を使用して、サードパーティのクラウド資産のログを一元管理し、対応処理のためにクラウド資産と対話する必要がある場合は、この設定項目を選択してください。
説明セキュリティセンターに追加できる資産の種類は、クラウド サービス プロバイダーによって異なります。ページに表示される種類が優先されます。
サブアカウントに、セキュリティセンターが必要とする権限を付与する必要があります。そうでない場合、セキュリティセンターはサードパーティ資産を保護できません。コンソールの指示に従って、サブアカウントの権限を構成します。
Quick Configuration: マスターアカウントの AccessKey ペアをセキュリティセンターに付与します。セキュリティセンターは、サブアカウントの AccessKey ペアを自動的に作成します。
説明この構成は、ホスト資産の保護のみをサポートしています。クラウド セキュリティ ポスチャ管理機能と脅威分析と対応機能はサポートしていません。
SubscriptionId ウィザード ページで、取得した AccessKey 情報とアカウント名を入力し、次へ をクリックします。
アカウント名は、同じクラウド サービス プロバイダーの異なるアカウントの資産を区別するために使用されます。その目的に基づいて明確な意味を持つ名前を設定することをお勧めします。
監査ログの設定 ウィザード ページで、サードパーティ資産のログ データを構成し、[次へ] をクリックします。監査ログを追加する必要がない場合は、[スキップ] をクリックします。
重要監査ログの構成は、クラウド セキュリティ ポスチャ管理内のクラウド インフラストラクチャ資格管理 (CIEM) のチェック項目に関するデータを取得するために不可欠です。これを構成しないと、セキュリティセンターはサードパーティ クラウド資産の CIEM 関連のチェック項目を検出できません。
この設定項目は、Tencent Cloud 資産と AWS 資産に対してのみサポートされています。HUAWEI CLOUD 資産では、この構成は必要ありません。
AWS のサブアカウントを追加する場合は、取得したリージョン ID と SQS キューの名前を順番に入力します。
Tencent Cloud のサブアカウントを追加する場合は、取得した Kafka トピック名、Kafka パブリック エンドポイント、およびログ トピックのログセット ID を順番に入力します。
[ポリシー構成] ウィザード ページで、サードパーティ資産のリージョン、データ同期頻度、その他の設定を構成し、[OK] をクリックします。
設定項目
説明
リージョン選択
追加する資産が存在するリージョンを選択します。セキュリティセンターは、コンソールの左上隅で選択したデータ管理センター (中国 または 全世界 (中国を除く)) に基づいて、サードパーティ アカウント内の資産のデータを対応する管理センターに追加します。
リージョン管理
このオプションを選択すると、セキュリティセンターは、サードパーティ アカウント内の指定されたリージョンに新しく作成された資産のデータを現在のデータ管理センターに自動的に同期します。
このオプションを選択しないと、新しく作成されたリージョンは保護のためにセキュリティセンターに自動的に追加されません。
Host Asset Synchronization Frequency
セキュリティセンターがサードパーティ クラウド サーバーのデータを自動的に同期する間隔を選択します。[シャットダウン] を選択すると、データは同期されません。
説明追加する資産に対して [権限の説明] と [ホスト資産] を選択した場合は、このパラメーターを構成する必要があります。
クラウドプロダクトの同期頻度
セキュリティセンターがサードパーティ クラウド サービスのデータを自動的に同期する間隔を選択します。[シャットダウン] を選択すると、データは同期されません。
説明追加する資産に対して [権限の説明] と [クラウド セキュリティ ポスチャ管理] を選択した場合は、このパラメーターを構成する必要があります。
AK サービスのステータスチェック
セキュリティセンターがサードパーティ アカウントの AccessKey ペアの有効性を自動的にチェックする間隔を選択します。[シャットダウン] を選択すると、有効性はチェックされません。
最新のアセットの同期 をクリックして、サードパーティ アカウント内の資産をセキュリティセンターに同期します。
マスターアカウントの AccessKey ペアを使用すると、マスターアカウントのすべてのサブアカウント内の資産のデータがセキュリティセンターに自動的に同期されます。
サブアカウントの AccessKey ペアを使用すると、サブアカウント内の資産のデータがセキュリティセンターに自動的に同期されます。
Microsoft Azure から資産を追加する
セキュリティセンターコンソール にログインします。コンソールの左上隅で、保護する資産が配置されているリージョン (中国 または 全世界 (中国を除く)) を選択します。
左側のナビゲーション ウィンドウで、 を選択します。
タブで、権限の新規付与 をクリックします。ドロップダウン リストで、追加するマルチクラウド サービス プロバイダー (Microsoft Azure) を選択します。
Add Assets Outside Cloud パネルで、指示に従って対応するクラウド サービス プロバイダーのサブアカウントを作成し、サードパーティ クラウド サーバーとセキュリティセンター間の接続を確立します。
サードパーティのクラウド サービス プロバイダーのサブアカウントを作成します。
コンソールの指示に従います。サードパーティのクラウド サービス プロバイダーのプラットフォームにログインし、セキュリティセンター用の Microsoft Azure アカウントを手動で作成し、操作コマンドの実行結果から
appId、displayName、name、password、tenant情報を取得する必要があります。重要作成したサブアカウントに Microsoft.Compute 権限リソースに対する読み取り専用権限を付与する必要があります。
SubscriptionId ウィザード ページで、前の手順で取得した Enter an AppID、Enter a password、tenant、[ドメイン] を入力し、追加する資産タイプを選択して、次へ をクリックします。
サポートされている統合の資産タイプは [ホスト資産] で、これはセキュリティセンターのサードパーティ クラウド プラットフォーム アカウントでElastic Compute Service の読み取り権限を付与することを示します。
監査ログの設定 ウィザードページで、サードパーティ資産のログデータを構成し、[次へ]をクリックします。監査ログを追加する必要がない場合は、[スキップ]をクリックします。
重要監査ログ構成は、クラウドセキュリティポスチャ管理内のクラウドインフラストラクチャ資格管理 (CIEM) のチェック項目に関するデータを取得するために不可欠です。これを構成しないと、セキュリティセンターはサードパーティクラウド資産の CIEM 関連チェック項目を検出できません。
この構成項目は、Tencent Cloud 資産と AWS 資産に対してのみサポートされています。HUAWEI CLOUD 資産では、この構成は必要ありません。
AWS のサブアカウントを追加する場合は、取得したリージョン ID と SQS キューの名前を順番に入力します。
Tencent Cloud のサブアカウントを追加する場合は、取得した Kafka トピック名、Kafka パブリックエンドポイント、およびログトピックのログセット ID を順番に入力します。
[ポリシー構成] ウィザードページで、サードパーティ資産のリージョン、データ同期頻度、その他の設定を構成し、[OK]をクリックします。
構成項目
説明
リージョン選択
追加する資産が存在するリージョンを選択します。セキュリティセンターは、コンソールの左上隅で選択したデータ管理センター (中国 または 全世界 (中国を除く)) に基づいて、サードパーティアカウント内の資産のデータを対応する管理センターに追加します。
リージョン管理
このオプションを選択すると、セキュリティセンターは、サードパーティアカウント内の指定されたリージョンに新しく作成された資産のデータを現在のデータ管理センターに自動的に同期します。
このオプションを選択しないと、新しく作成されたリージョンは保護のためにセキュリティセンターに自動的に追加されません。
Host Asset Synchronization Frequency
セキュリティセンターがサードパーティクラウドサーバーのデータを自動的に同期する間隔を選択します。[シャットダウン]を選択すると、データは同期されません。
説明追加する資産に対して[権限の説明]と[ホスト資産]を選択した場合は、このパラメーターを構成する必要があります。
クラウドプロダクトの同期頻度
セキュリティセンターがサードパーティクラウドサービスのデータを自動的に同期する間隔を選択します。[シャットダウン]を選択すると、データは同期されません。
説明追加する資産に対して[権限の説明]と[クラウドセキュリティポスチャ管理]を選択した場合は、このパラメーターを構成する必要があります。
AK サービスのステータスチェック
セキュリティセンターがサードパーティアカウントの AccessKey ペアの有効性を自動的にチェックする間隔を選択します。[シャットダウン]を選択すると、有効性はチェックされません。
結果の検証
セキュリティセンターにサードパーティ資産を追加した後、アセットセンター ページで資産の情報を確認できます。
次のステップ
サードパーティ アカウントの AccessKey ペアを使用してサードパーティ資産を追加した後、セキュリティセンターの保護機能を利用するには、サードパーティ クラウド資産にクライアントを手動でインストールする必要があります。クライアントのインストール手順については、「参照ドキュメント」をご参照ください。
その他の操作
ページで、サードパーティ クラウド資産の接続ポリシーを表示、変更、または削除できます。
資産接続ポリシーの右側にある
をクリックして、権限情報とサービス ステータスを表示します。対応するアクセス ポリシーの Service Status は、すべての資産権限の Service Status が正常な場合にのみ、正常と表示されます。資産権限に異常がある場合は、Service Status
にカーソルを合わせて、異常の理由を表示します。資産接続ポリシーまたは資産権限の 変更 列の 操作する をクリックして、ポリシーの SK、資産タイプ、リージョンなどの情報を変更できます。
ビジネス ニーズに基づいて、ポリシーまたは権限を有効化、無効化、または削除できます。
ポリシーまたは権限を無効化または削除すると、セキュリティセンターはクラウド サービス プロバイダーからのポリシーまたは権限に基づいて資産を同期しなくなります。